首页 / WINDOWS / windows的系统调用
windows的系统调用
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了windows的系统调用,小编现在分享给大家,供广大互联网技能从业者学习和参考。文章包含6112字,纯文字阅读大概需要9分钟。
内容图文
![windows的系统调用](/upload/InfoBanner/zyjiaocheng/1084/5905b507451d4b1ab6b1caef35386c99.jpg)
最近一直在学习windows内核相关的知识,写一写博客用于备忘。
windows系统调用的具体流程在潘爱民老师的《WINDOWS内核原理与实现》中的第8章已经写得很清楚了,先看书中给出的这幅图。
以CreateFile为例,在ring3的CreateFile进行了一些参数检查后最终调用的是Ntdll中的NtCreateFile。同时也有ZwCreateFile,不过它们的地址指向同一区域,所以本质上来说是同一个函数。
可以再ntdll的导出表中看到:
之后通过sysenter或者0x2e中断进入ring0层,并将服务号放入eax中。
ntoskrnl.exe 中的 zwcreatefile:
kd> u nt!zwcreatefile
nt!ZwCreateFile:
80501010 b825000000 mov eax,25h ;服务号
80501015 8d542404 lea edx,[esp+4]
80501019 9c pushfd
8050101a 6a08 push 8
8050101c e830140400 call nt!KiSystemService (80542451)
80501021 c22c00 ret 2Ch
使用int 0x2e进入ring0
使用windbg可以直接查看idt的0x2e号中断:
kd>!idt 2e
Dumping IDT:
2e: 80542451 nt!KiSystemService ;可以看到指向的是KiSystemService这个例程
当然,也可以通过查看idt表计算出0x2e中断所指向的地址,首先找到idt表中0x2e项的内容:
kd> !pcr
KPCR for Processor 0 at ffdff000:
Major 1 Minor 1
NtTib.ExceptionList: 80551cb0
NtTib.StackBase: 805524f0
NtTib.StackLimit: 8054f700
NtTib.SubSystemTib: 00000000
NtTib.Version: 00000000
NtTib.UserPointer: 00000000
NtTib.SelfTib: 00000000
SelfPcr: ffdff000
Prcb: ffdff120
Irql: 00000000
IRR: 00000000
IDR: ffffffff
InterruptMode: 00000000
IDT: 8003f400 ;IDT表的地址
GDT: 8003f000
TSS: 80042000
CurrentThread: 8055ce60
NextThread: 00000000
IdleThread: 8055ce60
计算一下 8003f400 + 8*0x2e = 8003F570
查看:
kd> db 8003F570
8003f570 51 24 08 00 00 ee 54 80-e0 57 08 00 00 8e 54 80 Q$....T..W....T.
8003f580 10 1b 08 00 00 8e 54 80-1a 1b 08 00 00 8e 54 80 ......T.......T.
8003f590 24 1b 08 00 00 8e 54 80-2e 1b 08 00 00 8e 54 80 $.....T.......T.
8003f5a0 38 1b 08 00 00 8e 54 80-42 1b 08 00 00 8e 54 80 8.....T.B.....T.
根据IDT中断描述符的格式,可以知道该例程偏移为 80542451 ,段选择符为0x8 (IDT结构的内容在《WINDOWS内核原理与实现》中的第5章有讲解)
知道了偏移地址,还需要知道段地址才可以计算出实际的地址。
已经知道了段选择符为0x8,可以查看相应的段描述符:
其中,TI为0表示改索引指向GDT,RPL为0表示当前特权级是0,索引代表它在GDT中的位置是第一项。
(这一部分的知识在书中第4章有介绍,但不是十分详细,具体内容可以查阅一些保护模式的资料)
查看GDT:
kd> r gdtr
gdtr=8003f000 ;也可以使用!pcr指令找到GDT地址
kd> db 8003f000
8003f000 00 00 00 00 00 00 00 00-ff ff 00 00 00 9b cf 00 ................
8003f010 ff ff 00 00 00 93 cf 00-ff ff 00 00 00 fb cf 00 ................
由段描述格式获得基地址为 0x0000
计算出中断例程的地址为 0000 : 80542451 与windbg直接获得的地址一样。
通过sysenter进入ring0
先看sysenter指令的调用位置:
kd> u ntdll!KiFastSystemCall
ntdll!KiFastSystemCall:
770801d0 8bd4 mov edx,esp
770801d2 0f34 sysenter
ntdll!KiFastSystemCallRet:
770801d4 c3 ret
770801d5 8da42400000000 lea esp,[esp]
770801dc 8d642400 lea esp,[esp]
sysenter指令的工作原理是读取MSR寄存器,加载RING0层的CS,EIP,ESP,清楚Eflags中的VM标示.
IA32_SYSENTER_CS 0x174
IA32_SYSENTER_ESP 0x175
IA32_SYSENTER_EIP 0x176
使用windbg查看:
kd> rdmsr 174
msr[174] = 00000000`00000008
kd> rdmsr 175
msr[175] = 00000000`f8ac2000
kd> rdmsr 176
msr[176] = 00000000`80542520
CS段选择符为0x00000008与之前的一样,所以目标地址为 0000:80542520
反汇编此地址:
kd> u 80542520
nt!KiFastCallEntry:
80542520 b923000000 mov ecx,23h
80542525 6a30 push 30h
80542527 0fa1 pop fs
80542529 8ed9 mov ds,cx
8054252b 8ec1 mov es,cx
8054252d 648b0d40000000 mov ecx,dword ptr fs:[40h]
80542534 8b6104 mov esp,dword ptr [ecx+4]
KiFastCallEntry就是进入RING0的调用例程。
其实对KiSystemService的反汇编进行查看会发现,KiSystemService最终还是调用了KiFastCallEntry的例程:
nt!KiSystemService+0x5a:
805424ab c74508000ddbba mov dword ptr [ebp+8],0BADB0D00h
805424b2 895d00 mov dword ptr [ebp],ebx
805424b5 897d04 mov dword ptr [ebp+4],edi
805424b8 f6462cff test byte ptr [esi+2Ch],0FFh
805424bc 0f858afeffff jne nt!Dr_kss_a (8054234c)
805424c2 fb sti
805424c3 e9e7000000 jmp nt!KiFastCallEntry+0x8f (805425af) ;跳转到KiFastCallEntry中
然后看一下KiFastCallEntry中被跳转的内容:
nt!KiFastCallEntry+0x8f:
805425af 8bf8 mov edi,eax ;KiSystemService会跳转到这里
805425b1 c1ef08 shr edi,8
805425b4 83e730 and edi,30h
805425b7 8bcf mov ecx,edi
805425b9 03bee0000000 add edi,dword ptr [esi+0E0h]
805425bf 8bd8 mov ebx,eax
805425c1 25ff0f0000 and eax,0FFFh
805425c6 3b4708 cmp eax,dword ptr [edi+8]
通过MSR寄存器获得KiFastCallEntry地址
如同在windbg中一样,使用rdmsr指令获得MSR寄存器的内容,然后通过GDT获得段地址,计算出KiFastCallEntry的实际地址。
ULONG GetAddressOfKiFastCallEntry() { ULONG Address = 0; _asm { jmp func_main vgdtr: //开辟一段控件用于保存gdtr寄存器中的内容 _emit 0x00 _emit 0x00 _emit 0x00 _emit 0x00 _emit 0x00 _emit 0x00 _emit 0x00 _emit 0x00 func_main: pushad mov ecx,0x174 rdmsr mov ebx, eax //获得段选择子 sgdt vgdtr //读取gdtr寄存器保存至vgdtr mov edx, vgdtr add edx, 0x02 mov eax, [edx] //从gdtr寄存器中获取GDT地址,之后按照GDT的格式计算出段地址 add ebx, eax mov edx, ebx add edx, 0x07 mov eax, [edx] shl eax, 24; //循环左移留下后2个字节 mov edx, ebx add edx, 0x02 mov ecx, [edx] and ecx, 0x00FFFFFF add eax, ecx //计算得段地址 mov ebx, eax mov ecx, 0x176 //获得EIP rdmsr add eax, ebx mov Address, eax popad } return Address; }
栈回溯法获得KifastCallEntry地址
这种方法是360开始使用的,原理是kifastcallentry通过call ebx调用目标例程,那么例程栈的ebp+4里面所存放的就是返回到KiFastCallEntry下一条指令的地址。
看一下在XP中kifastcallentry调用的反汇编:
;eax存放调用号,edi存放SSDT或者ShadowSSDT的地址
805425fd 8a0c18 mov cl,byte ptr [eax+ebx] 80542600 8b3f mov edi,dword ptr [edi] ;获得KeServiceDescriptorTable.ServiceTableBase地址 80542602 8b1c87 mov ebx,dword ptr [edi+eax*4] ;根据服务号计算出在表中的调用地址, 80542605 2be1 sub esp,ecx 80542607 c1e902 shr ecx,2 8054260a 8bfc mov edi,esp 8054260c 3b3534315680 cmp esi,dword ptr [nt!MmUserProbeAddress (80563134)] 80542612 0f83a8010000 jae nt!KiSystemCallExit2+0x9f (805427c0) 80542618 f3a5 rep movs dword ptr es:[edi],dword ptr [esi] 8054261a ffd3 call ebx ;调用例程 8054261c 8be5 mov esp,ebp ;这里就是返回的地址
这里我们学习一下360的方法,获得ZwSetEvent的服务号,安装它的SSDT HOOK。再自己调用它
HANDLE g_FakeEventHandle = (HANDLE)0×288C58F1; //这个我们自己定义的句柄用于辨别是不是需要的功能。
然后调用
ZwSetEvent(g_FakeEventHandle, NULL);
在hook例程中判断
if ( EventHandle != g_FakeEventHandle || ExGetPreviousMode()==UserMode )// 不是我们自己调用,或者调用来自UserMode,直接调用原函数
{
return ((MYZwSetEvent)O_NtSetEvent)(EventHandle,PreviousState);
}
在hook例程中获得KiFastCallEntry地址
_asm
{
push eax
xor eax,eax
lea eax, [ebp+4] //回溯栈的地址
mov eax, [eax]
mov Address, eax
pop eax
}
可以看到,获得的地址是0x8054261c
我们用winbdg查看这个地址
kd> u 0x8054261c
nt!KiFastCallEntry+0xfc:
8054261c 8be5 mov esp,ebp
8054261e 648b0d24010000 mov ecx,dword ptr fs:[124h]
80542625 8b553c mov edx,dword ptr [ebp+3Ch]
80542628 899134010000 mov dword ptr [ecx+134h],edx
nt!KiServiceExit:
8054262e fa cli
8054262f f7457000000200 test dword ptr [ebp+70h],20000h
80542636 7506 jne nt!KiServiceExit+0x10 (8054263e)
80542638 f6456c01 test byte ptr [ebp+6Ch],1
可以看到就是上面call ebx之后的内容,这样就找到了kifatcallentry的地址。
原文:http://www.cnblogs.com/Windogs/p/4626911.html
内容总结
以上是互联网集市为您收集整理的windows的系统调用全部内容,希望文章能够帮你解决windows的系统调用所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错,欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 gblab@vip.qq.com 举报,一经查实,本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。